CVE-2026-71538

WysokieCVSS 8.5

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

@cyclonedx/cyclonedx-npm tworzy CycloneDX Software Bill of Materials z projektów npm. W wersjach przed 6.0.0 ścieżka awaryjna dla Windows w src/npmRunner.ts, używana gdy npm_execpath nie podaje ścieżki do CLI npm, może zbudować polecenie powłoki zawierające niezaufaną wartość z opcji --workspace. Gdy atakujący może wpłynąć na tę opcję i osiągnięta zostanie awaryjna ścieżka wykonania npm, metaznaki powłoki w wartości workspace mogą wykonać dowolne polecenia systemowe z uprawnieniami użytkownika uruchamiającego CLI, umożliwiając dostęp do danych, modyfikację plików lub zakłócenie usług.

Ocena ryzyka

Możliwe wykonanie dowolnych poleceń systemowych z uprawnieniami użytkownika CLI, co może prowadzić do kradzieży danych, modyfikacji plików lub zakłócenia działania usług.

Rekomendacja

Zaktualizuj @cyclonedx/cyclonedx-npm do wersji 6.0.0 lub nowszej i unikaj przekazywania niezaufanych wartości w opcji --workspace.

Inne podatności w @cyclonedx/cyclonedx-npm

CVE-2026-55849Wysokie
Podatność w narzędziu @cyclonedx/cyclonedx-npm umożliwia wykonanie dowolnych poleceń systemu operacyjnego. Problem występuje w wersjach od 2.1.0 do 5.0.0, gdy parametr --workspace jest przekazywany do podpowłoki bez odpowiedniego oczyszczenia, a zmienna npm_execpath jest niezdefiniowana lub pusta.

Oryginalny opis (angielski, źródło NVD)

@cyclonedx/cyclonedx-npm creates CycloneDX Software Bill of Materials from npm projects. Prior to version 6.0.0, the Windows fallback path in src/npmRunner.ts, used when npm_execpath does not provide the npm CLI path, can construct a shell command containing an untrusted value from the --workspace option. When an attacker can influence that option and the fallback npm execution path is reached, shell metacharacters in the workspace value can execute arbitrary operating-system commands with the privileges of the user running the CLI, allowing data access, file modification, or service disruption. This issue is fixed in version 6.0.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS